Questão de Segurança da Informação — Demais Ferramentas de Segurança de Perímetro (WAF, UTM etc.) — FCC 2024

Web Application Firewall (WAF): proteção na camada de aplicação

Gabarito: letra B. O WAF é um firewall especializado em proteger aplicações web, atuando na camada de aplicação (Camada 7 do modelo OSI). Para proteger contra SQL Injection e XSS, ele deve inspecionar o tráfego HTTP e HTTPS, filtrando e bloqueando padrões maliciosos — exatamente o que a alternativa B descreve. As demais alternativas atribuem ao WAF funções que não são suas, como monitorar banco de dados, bloquear ataques internos, proteger contra phishing ou fazer balanceamento de carga.

O Web Application Firewall (WAF) é uma solução de segurança que atua como um intermediário entre o cliente e o servidor de aplicação, inspecionando o tráfego HTTP/HTTPS em busca de padrões de ataque. Diferente dos firewalls tradicionais, que operam nas camadas de rede e transporte (Camadas 3 e 4 do modelo OSI), o WAF opera na camada de aplicação (Camada 7), onde estão os protocolos HTTP e HTTPS. Essa é a camada onde ocorrem ataques como SQL Injection e XSS, que exploram vulnerabilidades na lógica da aplicação web.

O WAF funciona de forma semelhante a um proxy reverso: ele recebe as requisições externas, inspeciona o conteúdo (incluindo o payload das requisições HTTP), identifica padrões maliciosos (como tentativas de injeção de SQL ou scripts maliciosos) e decide se o tráfego deve ser bloqueado ou encaminhado ao servidor. Para isso, ele precisa ser capaz de inspecionar o tráfego criptografado (HTTPS), o que exige que o WAF faça a decriptação do tráfego, inspecione o conteúdo e, se seguro, reenvie ao servidor. Essa capacidade de inspeção profunda é o que permite ao WAF detectar e bloquear ataques que passariam despercebidos por firewalls tradicionais.

A implementação de um WAF pode ser feita de duas formas principais: como hardware (appliance físico dedicado) ou como software (instalado em servidores ou integrado a outras soluções de segurança). Em ambos os casos, o WAF atua em conjunto com firewalls de rede e transporte, oferecendo uma camada extra de defesa específica para aplicações web.

A pegadinha desta questão está em atribuir ao WAF funções que pertencem a outras ferramentas de segurança. Por exemplo, o monitoramento de banco de dados é função de soluções específicas como Database Activity Monitoring (DAM); o bloqueio de ataques internos na rede local é função de firewalls de rede tradicionais; a proteção contra phishing é mais associada a filtros de e-mail e soluções de segurança de e-mail; e o balanceamento de carga é função de load balancers ou proxies reversos. O WAF tem um escopo bem definido: proteger a aplicação web contra ataques na camada de aplicação.

Guarde a fronteira entre o WAF e as demais ferramentas de segurança: o WAF protege a aplicação web (Camada 7), enquanto firewalls de rede protegem a rede (Camadas 3 e 4), IDS/IPS monitoram o tráfego de rede, e load balancers distribuem o tráfego. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Monitorar atividades maliciosas diretamente no banco de dados não é função do WAF. O WAF atua na camada de aplicação, inspecionando o tráfego HTTP/HTTPS que chega ao servidor web. O monitoramento de banco de dados é feito por ferramentas específicas, como Database Activity Monitoring (DAM), que analisam as consultas SQL executadas diretamente no banco. O WAF pode bloquear tentativas de SQL Injection antes que cheguem ao banco, mas não monitora o banco em si.

Alternativa B — ✅ Correta ⟵ GABARITO

Esta é a definição correta do WAF. Ele inspeciona o tráfego HTTP e HTTPS, filtrando e bloqueando padrões maliciosos, como tentativas de SQL Injection e XSS. O WAF atua na camada de aplicação (Camada 7 do modelo OSI), analisando o conteúdo das requisições e respostas HTTP, incluindo o payload, para identificar e bloquear ataques. Essa inspeção profunda é o que diferencia o WAF de firewalls tradicionais.

Alternativa C — ❌ Incorreta

Bloquear ataques internos originados na rede local e inspecionar o tráfego na intranet não é a função principal do WAF. O WAF é projetado para proteger aplicações web expostas à internet, inspecionando o tráfego HTTP/HTTPS que chega do exterior. O controle de tráfego interno na rede local é função de firewalls de rede tradicionais, que operam nas camadas 3 e 4 do modelo OSI, filtrando pacotes com base em endereços IP, portas e protocolos.

Alternativa D — ❌ Incorreta

Proteção contra phishing e ataques de negação de serviço distribuído (DDoS) não são funções primárias do WAF. O phishing é combatido por filtros de e-mail e soluções de segurança de e-mail, que analisam mensagens e links suspeitos. Ataques DDoS são mitigados por soluções específicas de proteção contra DDoS, que podem incluir firewalls de rede, sistemas de prevenção de intrusão (IPS) e serviços de mitigação na nuvem. O WAF pode ter alguma capacidade de mitigar certos tipos de ataques de camada de aplicação, mas não é sua função principal.

Alternativa E — ❌ Incorreta

Balanceamento de carga e proteção contra ataques de força bruta não são funções do WAF. O balanceamento de carga é feito por load balancers ou proxies reversos, que distribuem o tráfego entre múltiplos servidores para melhorar o desempenho e a disponibilidade. A proteção contra ataques de força bruta pode ser feita por mecanismos de autenticação, como bloqueio de tentativas repetidas, ou por soluções de segurança específicas. O WAF pode ter alguma capacidade de detectar e bloquear ataques de força bruta em aplicações web, mas não é sua função principal.

Gabarito: letra B